Gobernanza de datos antes de usar IA en una pyme: permisos, fuentes y trazabilidad

Conectar un asistente de IA al CRM, al correo o a carpetas compartidas puede ahorrar horas, pero también puede exponer datos que antes estaban mal separados, duplicados o accesibles por demasiada gente. El riesgo no aparece porque el modelo sea mágico o peligroso por defecto, sino porque la empresa le da acceso a información sin haber definido límites. Si un usuario puede ver demasiados documentos, la IA normalmente también podrá usarlos en su contexto.

Antes de automatizar presupuestos, soporte, facturas, propuestas comerciales o análisis de leads, una pyme debería revisar gobernanza básica: qué fuentes son válidas, quién puede leer cada dato, qué se puede enviar a proveedores externos, qué acciones requieren aprobación humana y cómo se audita lo ocurrido. Sin esa base, la automatización se convierte en una caja negra difícil de defender ante clientes, dirección o una investigación interna.

• Inventario de fuentes conectadas: CRM, ERP, correo, Drive, SharePoint, tickets, bases de datos o APIs
• Clasificación sencilla: público, interno, confidencial, datos personales, credenciales y secretos
• Revisión de permisos heredados, enlaces públicos y grupos con acceso excesivo
• Política de qué datos pueden salir a APIs externas y qué casos requieren entorno privado
• Registro de prompts, respuestas relevantes, acciones ejecutadas y usuario que las solicitó
• Aprobación humana para envíos externos, cambios económicos, borrados y decisiones sensibles
• Pruebas con datos ficticios o anonimizados antes de usar información real
• Plan de baja: cómo revocar accesos del proveedor, rotar claves y eliminar índices o memorias

• La herramienta pide permisos de administrador global para un caso de uso limitado
• Nadie sabe si los datos se usan para entrenamiento, retención o análisis externo
• La IA puede enviar mensajes o cambiar registros sin revisión humana
• No hay forma de saber qué documento justificó una respuesta
• Se mezclan datos de clientes, finanzas, RRHH y ventas en un mismo índice sin controles
• Las claves de API están compartidas en hojas de cálculo, repositorios o equipos personales

El camino más seguro es elegir un caso de uso pequeño y medible: por ejemplo, preparar borradores de respuesta a tickets, resumir oportunidades comerciales o clasificar documentos entrantes. Se conectan solo las fuentes necesarias, se limita la escritura, se registra actividad y se revisan resultados durante unas semanas. Cuando el flujo demuestra utilidad y control, se amplía. Así la pyme obtiene valor sin convertir la IA en un acceso privilegiado sin supervisión.